​

DSAR-Self-Service-Portal End-to-End

​

1. Zwei Intake-Wege, eine Warteschlange

​

2. Portal-Walkthrough

​

Den Link veröffentlichen

https://orbit.devotel.io/<locale>/dsar

​

Die Absender-E-Mail-Voraussetzung

​

Was die betroffene Person sieht

1. Begin — E-Mail, Telefon (E.164), Antragstyp. Ein E-Mail-OTP sendet sofort.
2. E-Mail verifizieren — ein 6-stelliger E-Mail-Code (10 Minuten TTL, 3 Versuche, 60 Sekunden Resend-Cooldown).
3. Telefon-Code senden — ein SMS-OTP an dasselbe Telefon (60 Sekunden Cooldown zwischen Sendungen).
4. Telefon verifizieren — ein 6-stelliger SMS-Code.
5. Submit — der Antrag gelangt nur mit beiden Nachweisen in Ihre Warteschlange. Der ganze Claim hat eine 30-Minuten-End-to-End-TTL.

​

Die Zuständigkeit mappt auf die SLA-Uhr

​

3. Was Operatoren nach einer Einreichung sehen

• Status und Frist. Die Zeile trägt den üblichen Lifecycle-Status und ein Day X of N-SLA-Badge, verankert an der Frist der Rechtsordnung; jede Verletzung hebt das Workspace-weite SLA-Banner. GET /compliance/dsar/sla liefert dasselbe Bild über die API.
• Erasure-Class-Einreichungen. Eine betroffene Person, die “delete” gewählt hat, erscheint im Portal-Abschnitt des Tabs Erasure requests (Art. 17), SLA-Badge daneben, vor der 7-Tage-Cooling-off-Standardvorgabe.
• Erfüllung. Eine Auskunfts- oder Portabilitäts-Einreichung läuft bis Completed mit signierter export_url; die Aktion Download decrypted baut den Klartext-Export für einen Operator. Eine Erasure bietet nach Ausführung das Proof-of-deletion-Zertifikat und Propagate an Ihre verbundenen Ziele.
• Audit-Kette. Begin, beide Verifikationen und Submit schreiben Zeilen mit gehashten (nie rohen) Identifikatoren, Quell-IP und User-Agent — die Aufzeichnung, aus der Ihr Evidence Binder zieht, wenn eine Aufsichtsbehörde fragt, wie die Identität festgestellt wurde.

​

4. Was Orbit nicht tut

• Orbit entscheidet nie über die Gültigkeit. Es nimmt einen Antrag nie aus Rechtsgründen an oder ab. Pending-verifizierende Zeilen warten auf Ihr Approve/Reject; verifizierte Zeilen werden erfüllt, weil Sie es zulassen, nicht weil die Plattform den Anspruch beurteilt hat.
• Orbit erfüllt nie automatisch ein Operator-Verdikt. Für einen Operator-eingereichten Antrag wird kein Export erzeugt und nichts erased, solange verification_status: pending gilt. Eine Portal-Einreichung überspringt das Gate nur, weil ihr OTP die Identität bereits nachgewiesen hat.
• Erasure respektiert Ihre Cooling-off-Haltung. Die 7-Tage-Standardvorgabe (pro Tenant überschreibbar) gibt Ihnen das Fenster zum Ablehnen, Halten oder Ausnehmen vor der Vernichtung.
• Ihnen zu sagen, welches Recht gilt, bleibt Aufgabe Ihres Anwalts. Orbit verankert die SLA-Uhr an der Rechtsordnung, die die betroffene Person gewählt und die Sie bestätigt haben.
• Das Portal zeigt die verbraucherfreundliche Rechte-Teilmenge — eine betroffene Person, die ein Operator-only-Recht braucht (berichtigen, sensitiv-PII einschränken, Nicht-Diskriminierung), reicht über Ihr Team ein.

​

Portal-Claim-Schleife — lauffähige Anfragebeispiele

​

1. Den Claim beginnen

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/begin \
  -H "Content-Type: application/json" \
  -d '{
    "email": "customer@example.com",
    "phone": "+4915112345678",
    "request_type": "access",
    "turnstile_token": "…token from the hosted page…"
  }'

{
  "data": {
    "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T",
    "email_sent": true,
    "expires_in": 600
  }
}

​

2. Den E-Mail-Code verifizieren

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/verify-email \
  -H "Content-Type: application/json" \
  -d '{ "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T", "code": "582917" }'

{
  "data": { "state": "email_verified", "next_step": "phone_send" }
}

{
  "error": {
    "code": "VALIDATION_ERROR",
    "message": "Invalid verification code.",
    "status": 422
  }
}

​

3. Den Telefon-Code senden und verifizieren

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/send-phone \
  -H "Content-Type: application/json" \
  -d '{ "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T", "phone": "+4915112345678" }'

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/verify-phone \
  -H "Content-Type: application/json" \
  -d '{ "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T", "code": "034861" }'

{
  "data": { "state": "phone_verified", "next_step": "submit" }
}

​

4. Mit beiden Nachweisen einreichen

curl -X POST https://api.orbit.devotel.io/api/v1/compliance/public/dsar/submit \
  -H "Content-Type: application/json" \
  -d '{ "claim_id": "dsar_proof_01JZQV8K2W4P3N7M9T" }'

{
  "data": {
    "reference_id": "dsar_pub_01JZW4KC7F2H8R1Y5A",
    "queued": true
  }
}

​

5. In der Operator-Warteschlange zurücklesen

curl https://api.orbit.devotel.io/api/v1/compliance/dsar?status=processing \
  -H "X-API-Key: $ORBIT_API_KEY"

{
  "data": {
    "items": [
      {
        "id": "dsar_01JZW4M0BXK7Q3P9VN",
        "requester_email": "customer@example.com",
        "request_type": "know",
        "applicable_jurisdiction": "gdpr",
        "verification_method": "email_phone",
        "verification_status": "verified",
        "status": "processing",
        "requested_at": "2026-09-27T09:41:12.104Z"
      }
    ],
    "total": 1
  }
}

curl https://api.orbit.devotel.io/api/v1/compliance/dsar/sla \
  -H "X-API-Key: $ORBIT_API_KEY"

{
  "data": {
    "items": [
      {
        "id": "dsar_01JZW4M0BXK7Q3P9VN",
        "kind": "export",
        "sla_days": 30,
        "days_elapsed": 1,
        "days_remaining": 29,
        "severity": "green",
        "sla_deadline_at": "2026-10-27T09:41:12.104Z",
        "approaching": false,
        "breach": false
      }
    ],
    "breach_count": 0
  }
}

​

5. Durchgearbeitetes Beispiel — eine GDPR-Auskunftsanfrage End-to-End

1. Begin. Sie gibt ihre E-Mail, ihr Telefon in E.164 (+4915…) ein, wählt access und besteht den Turnstile-Check. Das Portal liefert eine Claim-Id; das E-Mail-OTP ist bereits unterwegs.
2. E-Mail verifizieren. Sie liest den 6-stelligen Code (10 Minuten TTL, bis zu 3 Versuche) und besteht den ersten Faktor.
3. Telefon-Code senden, Telefon verifizieren. Der zweite Faktor wiederholt sich über SMS — 60 Sekunden Cooldown zwischen Sendungen — und beide Nachweise liegen nun vor.
4. Submit. Das Portal reicht den Antrag ein. Weil E-Mail und Telefon einem Kontakt in Ihrem Workspace entsprechen, reiht sich die Zeile als know unter gdpr ein und liefert eine dsar_pub_…-Referenz.
5. In Ihrer Warteschlange. Die Zeile zeigt Day 1 of 30 — verification_status: verified — und der Export-Worker hat sie bereits. Niemand aus Ihrem Team fasst das Triage an.
6. Erfüllen. Der Worker stellt den Export zusammen und markiert die Zeile als Completed mit export_url und tables_exported. Ein Operator liefert den Download-Link (eine Operator-only-Klartextkopie ist einen Download-decrypted-Klick entfernt).
7. Über die SLA-Linie. Ist die Zeile noch offen, wenn das 30-Tage-GDPR-Fenster verstreicht, flaggt das Workspace-SLA-Banner — und hatte sie beim Intake eine Zuständigkeit fehl gewählt, korrigiert Ihre Warteschlangen-Umklassifikation die Uhr rückwirkend.

​

Verwandte Referenzen

• DSAR-Referenz — die vollen Operator- und öffentlichen Endpunkt-Oberflächen, Abuse-Defence-Limits und SLA-Schweregrade.
• DPO- & EU/UK-Vertreter-Benennung — die Art.37/Art.27-Benennungen, die eine Privacy Notice nennen muss.
• GDPR-Verarbeitungsverzeichnis (ROPA + DPIA) — das Art.30-Inventar, das vor Ankunft eines Antrags geführt wird.
• Compliance Evidence Binder — die Audit-Zeilen zusammenstellen, die eine Portal-Einreichung hinterlässt.
• Eine DSAR erfüllen und das Breach-Vorfallen-Register betreiben — der Operator-Walkthrough der Warteschlange, die Ihr Portal speist.
• Eine GDPR-Posture End-to-End aufbauen — wo der Portal-Intake in der vollen Sequenz sitzt.